nftables

nftables

作者さくしゃ	The Netfilter project
開発元かいはつもと	The Netfilter project
最新さいしん版ばん	0.9.4 / 2020年ねん4月がつ1日にち (2020-04-01)
リポジトリ	git.netfilter.org/nftables/
プログラミング 言語げんご	C
対応たいおうOS	Linux
種別しゅべつ	パケットフィルタリング
ライセンス	GNU GPL v2
公式こうしきサイト	netfilter.org/projects/nftables/

tcはLinuxカーネルのパケットスケジューラーに対たいして、Netfilterに対たいするiptablesや、nftablesに対たいするnftのような関係かんけいのツールである。これらは全すべてLinuxカーネルサブシステムを構成こうせいするために使用しようされるユーザー空間くうかんユーティリティーである。

nftablesは、パケット/データグラム/フレームのパケットフィルタリングと分類ぶんるい機能きのうを提供ていきょうするLinuxカーネルのサブシステムである。2014年ねん1月がつ19日にちに公開こうかいされたLinux 3.13以降いこうで利用りよう可能かのうである。

nftablesはNetfilterの特定とくていの部分ぶぶんのみを置おき換かえ、それ以外いがいの部分ぶぶんは維持いじおよび再さい利用りようすることになっている。Netfilterに対たいするnftablesの利点りてんは、フィルタリングルールを纏まとめることができる (重複じゅうふくコードを減へらすことができる) ことと、スループットが高たかいことである。nftablesの設定せっていはユーザー空間くうかんユーティリティーのnftを介かいして行おこなうが、Netfilterではiptables、ip6tables、arptablesおよびebtablesフレームワークを介かいして設定せっていを行おこなう。

nftablesは、ネットワークスタックへの既存きそんのフック、接続せつぞく追跡ついせきシステム、ユーザー空間くうかんのキューイングコンポーネント、ログサブシステムなどのNetfilterインフラストラクチャーの構成こうせい要素ようそを利用りようしている。

nft

コマンドラインの構文こうぶん

宛先あてさきのIPアドレスが1.2.3.4のパケットを破棄はきするnftのコマンドは、次つぎのように書かける。

nft add rule ip filter output ip daddr 1.2.3.4 drop

iptablesのコマンドの構文こうぶんはnftとは異ことなり、次つぎのようになる。

iptables -A OUTPUT -d 1.2.3.4 -j DROP

また、互換ごかんレイヤーが提供ていきょうされており、バックエンドとしてnftablesを使用しようしている場合ばあいでも、従来じゅうらいのiptablesのフィルタリングルールの構文こうぶんでパケットフィルタリングを行おこなうことができる。

歴史れきし

このプロジェクトは、NetfilterのコアチームのPatrick McHardyによってNetfilter Workshop 2008で公開こうかいされた。カーネルおよびユーザー空間くうかんの実装じっそうの最初さいしょのプレビュー版ばんは2009年ねん3月がつに公開こうかいされた。nftablesは「2001年ねんにiptablesが導入どうにゅうされて以降いこう、Linuxのファイアウォールでの最大さいだいの変更へんこう点てん」と呼よばれているが、ほとんど報道ほうどうされていない。著名ちょめいなハッカーであるFyodor Vaskovich（Gordon Lyon）は「メインストリームのLinuxカーネルで公開こうかいされることを楽たのしみにしている。」と述のべている。

2012年ねん10月がつ、Pablo Neira Ayusoがiptablesの互換ごかんレイヤーを提案ていあんし、プロジェクトをメインストリームのLinuxカーネルに含ふくめる可能かのう性せいを発表はっぴょうした。

2013年ねん10月がつ26日にち、Pablo Neira Ayusoは、nftablesの中核ちゅうかく部分ぶぶんをメインストリームのLinuxカーネルにマージするためのプルリクエストを提出ていしゅつした。このプルリクエストは2014年ねん1月がつ19日にちにマージされ、Linux 3.13として公開こうかいされた。

概要がいよう

nftablesカーネルエンジンはLinuxカーネルに単純たんじゅんな仮想かそう機械きかいを追加ついかする。この仮想かそう機械きかいはバイトコードを実行じっこうして、パケットを検査けんさすることで、パケットの処理しょり方法ほうほうを決定けっていすることができる。この仮想かそう機械きかいによって行おこなわれる操作そうさの実装じっそうは意図いと的てきに基本きほん的てきなものになっている。この仮想かそう機械きかいはパケットからデータを取得しゅとくし、関連かんれんするメタデータ (インバウンドインタフェースなど) を確認かくにんし、接続せつぞく追跡ついせきデータを管理かんりすることができる。算術さんじゅつ演算えんざん子こ、ビット単位たんい演算えんざん子こおよび比較ひかく演算えんざん子こを使用しようして、そのデータに基もとづいて決定けっていを下くだすことができる。また、仮想かそう機械きかいはデータセット (通常つうじょうはIPアドレス) を操作そうさできるので、複数ふくすうの比較ひかく操作そうさを単一たんいつのフィルタリングルールに置おき換かえることができる。

上記じょうきの内容ないようは、iptablesのフィルタリングルールに反はんしている。iptablesのフィルタリングルールではプロトコルを識別しきべつする機能きのうが仕組しくみの奥深おくふかくに組くみ込こまれているので、フィルタリングルールを4回かい（IPv4、IPv6、ARPおよびイーサネットブリッジ）呼よび出だす必要ひつようがある。これは、エンジンがプロトコル毎ごとに固有こゆうであり、汎用はんよう的てきには使用しようできないからである。

iptablesに対たいするnftablesの主おもな利点りてんは、LinuxカーネルABIの簡素かんそ化か、重複じゅうふくコードの削減さくげん、エラーメッセージの改善かいぜんおよびフィルタリングルールのより効率こうりつ的てきな実行じっこう、保存ほぞんおよび増分ぞうぶん変更へんこうである。従来じゅうらい使用しようされていたiptables(8)、ip6tables(8)、arptables(8)およびebtables(8)（それぞれIPv4、IPv6、ARPおよびイーサネットブリッジ用よう）は、単一たんいつの実装じっそうとしてnft(8)に置おき換かえられる予定よていであり、カーネル内ない仮想かそう機械きかい上じょうにファイアウォール設定せっていを提供ていきょうする。

nftablesは単一たんいつのNetlinkトランザクション内ないで、1つ以上いじょうのファイアウォールルールのアトミックな置おき換かえができるように改良かいりょうされたユーザー空間くうかんAPIも提供ていきょうする。これによって、大おおきなフィルタリングルールを持もつファイアウォール設定せっていの変更へんこうが高速こうそく化かされる。また、ルールの変更へんこう中ちゅうに競合きょうごうが発生はっせいすることを避さけるためにも役立やくだつ。nftablesには以前いぜんのファイアウォールからの移行いこうを容易よういにする互換ごかん性せい機能きのう、iptablesのフィルタリングルールを変換へんかんするユーティリティー、バックエンドとしてnftablesを使用しようしている場合ばあいのiptablesのフィルタリングルールの互換ごかん構文こうぶんが含ふくまれている。

関連かんれん項目こうもく

• firewalld - バージョン0.6.0以降いこうでnftablesをデフォルトのバックエンドとして使用しようしている

外部がいぶリンク

• 公式こうしきウェブサイト
• nftablesのGitリポジトリ
• nftables wiki - nftablesのドキュメント